‘보안 리스크ʼ 금융지주 경영 의제 부상…‘전담 소위ʼ 전문성 확보 과제 [금융권 지배구조 점검]

[한국금융신문 지다혜 기자] 금융지주들이 정보보호·사이버보안을 이사회 차원의 경영 의제로 끌어올리고 있다. 인공지능(AI) 확산과 사이버 위협 고도화로 보안이 금융사의 신뢰와 업무 연속성에 영향을 미치는 경영 리스크로 부상하면서 이사회 보고와 감독 범위도 넓어지는 모습이다.

KB금융은 정보보안계획을 연 1회 이상 이사회에 보고하고, 하나금융은 정보보호위원회를 연 2회 열어 중대사항을 이사회에 올린다. 신한금융은 위험관리위원회, 우리금융은 본 이사회와 윤리·내부통제위원회를 활용한다. NH농협금융은 개인정보보호책임자(CPO) 지정·변경·해제 시 이사회 의결을 거칠 예정이다.

보안도 이사회 의제로

이사회가 금융보안을 직접 챙겨야 한다는 제도적 요구도 커졌다. 전자금융감독규정 개정에 따라 지난해 8월부터 정보보호최고책임자(CISO)는 정보보호위원회 심의·의결 사항 가운데 전자금융거래의 안전성과 신뢰성에 중대한 영향을 미치는 내용을 이사회에 보고해야 한다. 종전 최고경영자(CEO)에게만 보고하던 데서 이사회까지 범위를 넓힌 것이다.
금융보안포럼은 올해 1월 '금융보안 관련 이사회 보고사항 안내서'를 발간했다. 금융회사가 중요 보안사항의 이사회 보고 의무를 체계적으로 이행할 수 있도록 보고 대상과 체계·절차를 정리하고 정기·수시 보고와 대면·서면 보고 방식도 구분해 제시했다. 금융보안원은 지난해 사외이사를 대상으로 방문 설명과 동영상·가이드북 등을 제공하는 금융보안 안내 프로그램도 도입했다.

AI 확산은 이사회의 보안 책임을 넓히는 요인이다. 금융보안원이 지난 7월 내놓은 '프런티어 AI 보안 위협 금융분야 대응 요령'은 AI 보안 위협을 단순한 기술적 위험이 아닌 금융회사의 신뢰와 업무 연속성, 금융안정, 규제 준수 등에 영향을 미치는 경영 리스크로 규정했다. 이사회와 CEO 중심 대응과 함께 CISO가 패치 관리와 외부 노출 자산, 서비스 복원력, 제3자 리스크 등을 보고하고 필요한 인력과 예산을 확보할 수 있도록 해야 한다고 제시했다.

이사회 연계 방식 달라

KB금융은 정보보호 관련 법령과 내규에 따라 보안 사안을 CEO와 이사회에 정기·상시 보고한다. CISO가 담당하는 '정보보안 계획 수립·시행' 결과는 연 1회 이상 이사회에 올라간다. CPO의 개인정보보호 계획 수립·시행 결과도 연 1회 이상, 개인신용정보 관리·보호와 관련한 59개 평가항목의 실태점검 결과 역시 매년 이사회에 공유된다.

계열사의 고객정보 제공·이용 업무 적정성은 매 분기 점검해 CEO와 이사회에 보고한다. 그룹 전체의 정보보호 방향을 담은 'KB금융그룹 정보보호 중·장기 마스터플랜'은 3년 주기로 핵심전략과 수행과제를 수립해 이사회에 올린다. 단년도 법정 보고에 그치지 않고 중장기 보안전략까지 이사회가 공유하는 구조다.

이사회 내 위원회에서 개별 보안 현안을 다룬 사례도 있다. 지난해 10월 KB금융 내부통제위원회에는 카드업계 개인정보 유출 사고와 관련한 'KB금융그룹 외부 침해공격 대응현황'이 보고됐다. 그룹사의 해킹 등 외부 침해공격 대응 상황을 다룬 안건이다.
신한금융은 정보보호·보안 리스크를 IT리스크에 포함해 위험관리위원회에서 다룬다. 2025년 지배구조 연차보고서에는 '그룹 ICT·정보보호 리스크 관리 현황'을 놓고 AI를 응용한 신종 공격 대응과 보안 투자 필요성을 논의한 내용이 담겼다. 위험관리위원회 자체 평가에서는 IT 보안 리스크와 관련해 위험관리위원회·감사위원회·내부통제위원회 간 역할과 금융당국 권고사항을 정리할 필요가 있다는 의견도 제시됐다.

하나금융은 내부 정보보호위원회를 중심으로 주요 보안 사안을 먼저 다룬 뒤 중요도에 따라 이사회로 올리는 체계를 운영한다. 정보보호위원회는 정기적으로 연 2회 열고 필요한 경우 수시 개최한다. 정보기술부문 계획과 취약점 분석·평가 결과, 망분리 적용 예외 등 전자금융감독규정과 시행세칙에 근거한 사항이 주요 보고 대상이다.

정보보호·사이버보안 관련 사안 가운데 중대한 내용은 정기 또는 수시로 이사회에 올라간다. 하나금융 관계자는 "정보보호·사이버보안 관련 주요 사안은 정보보호위원회에 보고하고, 이후 중대사항은 정기 또는 수시로 이사회에 보고하고 있다"고 설명했다.

보안 감독체계 강화

우리금융은 정보보호 사안의 성격과 보고 근거에 따라 본 이사회와 이사회 내 위원회를 나눠 활용한다. 지난해 9월 이사회에서는 '그룹 정보보호 관리체계 및 보안취약점 점검 현황'을 다뤘다. 관련 법령과 내규, 안건 주제에 따라 정보보호 사안을 이사회 또는 이사회 내 위원회에 올리는 구조다.

보고 주기도 항목별로 구분된다. 개인신용정보 관리·보호 실태 점검 결과는 연 1회, 그룹 고객정보 제공·이용 현황은 분기마다 이사회에 보고한다. 그룹 고객정보 제공·이용 규정 제·개정과 CISO가 전자금융거래의 안전성·신뢰성에 중대한 영향을 미친다고 판단한 정보보호위원회 심의·의결 사항은 수시로 이사회에 올라간다. IT·정보보호 내부통제 활동은 반기마다 윤리·내부통제위원회에서 다룬다.

우리금융 관계자는 "최근 AI 기술의 급속한 발전과 망분리 완화 등 규제 완화, 개인정보보호법 시행령 개정 등 법적 규제 강화가 동시에 진행되며 정보보호의 중요성과 관심이 그 어느 때보다 높은 상황"이라며 "관련 주요 사항은 이사회 및 내부위원회에 보고해 사외이사들과 공유할 예정"이라고 말했다.

농협금융은 법규와 사안에 따라 내부 정보보호위원회에서 심의·의결하고 주요 사항은 이사회에 올린다. 정보기술부문 계획서와 개인신용정보 관리·보호 실태 점검 결과, 그룹 내 고객정보 제공·이용 현황 점검 결과 등을 정기적으로 이사회에 올리고 필요하면 수시 보고도 병행한다.

CPO를 둘러싼 이사회 역할도 커진다. 지난 11일 시행된 개정 개인정보 보호법령은 일정 기준에 해당하는 개인정보처리자가 CPO를 지정하거나 변경·해제할 경우 이사회 의결을 거쳐 개인정보보호위원회에 신고하도록 했다. CPO의 이사회 보고 의무와 전문인력 관리·예산 확보 권한도 강화됐다.

농협금융도 개정법 시행에 따라 CPO 지정·변경·해제 시 이사회 의결을 거칠 예정이다. 금융보안원이 진행하는 금융회사 사외이사 대상 금융보안 교육도 계획하고 있다.

전담 논의체계 화두

지주별로 정보보호 사안을 이사회가 들여다보는 체계는 한층 강화되고 있다. 다만 정기 보고와 개별 안건 심의를 넘어 복잡해지는 보안 리스크를 누가 지속적으로 감독할 것인지는 또 다른 문제다.

금융회사들이 전자금융감독규정에 따라 운영하는 내부 정보보호위원회는 CISO 등을 중심으로 정보보호 사안을 심의하는 기구로, 사외이사 등이 참여하는 이사회 내 소위원회와는 성격이 다르다.

금융보안원 측도 앞서 본지와의 인터뷰에서 이사회 차원의 정보보호 논의체계 강화 필요성을 언급했다. 김성웅 금융보안원 금융AI보안연구소장은 내부 정보보호위원회와 이사회 내 소위원회는 서로 다른 개념이라며, 별도 전담 소위원회를 곧바로 두기 어렵다면 위험관리위원회 등 기존 이사회 내 위원회에서 우선 보안 리스크를 다루는 방안도 고려할 수 있다는 취지로 설명했다.

전담 소위원회 설치 자체가 현행 법규상 의무인 것은 아니다. 금융보안원의 프런티어 AI 대응 요령도 이사회 내 정보보호위원회 등에서 AI 보안 위협 대응을 논의하고, 이사회와 CEO가 CISO에게 필요한 예산과 인력 운용 권한을 부여하는 방안을 제시한다.

5대 금융지주도 본 이사회와 기존 위원회를 활용해 정보보호 사안을 다루고 있다. 향후에는 단순히 이사회에 안건을 올리는 데서 나아가 보안 위험을 얼마나 정례적이고 지속적으로 관리하느냐가 정보보호 지배구조의 핵심으로 자리 잡을 전망이다.

지다혜 한국금융신문 기자 dahyeji@fntimes.com